VULNERABILIDADDetectada 28 OCT · 16:39

CVE-2026-118687 Falta de validación de audiencia en autenticación de identidad de instancia GCP en Coder

Coder antes de 2.29.21, 2.30.0 antes de 2.34.12, 2.35.0 antes de 2.35.9, 2.36.0 antes de 2.36.7 y 2.37.0 antes de 2.37.4 no valida la declaración de audiencia de los JWT de identidad de instancia de GCE en el endpoint POST /api/v2/workspaceagents/google-instance-identity. Un atacante que obtiene un token de identidad format=full no vencido emitido para otra parte confiable puede reutilizarlo para obtener el token de sesión de ese agente de espacio de trabajo, que sigue válido hasta la próxima compilación del…

6.5MEDIA

CVSS 3.1

CVSS 4.08.3 · alta
Probabilidad de explotación · EPSS del 09/110,2 % · percentil 8
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

coder
desde 2.37.0 hasta antes de 2.37.4
coder
desde 2.36.0 hasta antes de 2.36.7
coder
desde 2.35.0 hasta antes de 2.35.9
coder
desde 2.30.0 hasta antes de 2.34.12
coder
hasta antes de 2.29.21

Qué hacer

Verificá si usás coder y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N

Vector de ataqueRed
Complejidad del ataqueAlta
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadBaja
DisponibilidadNinguna

CVSS 4.0 · 8.3 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataquePresentes
Privilegios requeridosNinguno
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Baja
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Coder before 2.29.21, 2.30.0 before 2.34.12, 2.35.0 before 2.35.9, 2.36.0 before 2.36.7, and 2.37.0 before 2.37.4 does not validate the audience claim of GCE instance-identity JWTs at the POST /api/v2/workspaceagents/google-instance-identity endpoint. Attackers who obtain an unexpired format=full identity token minted for another relying party can replay it to obtain that workspace agent's session token, which remains valid until the workspace's next build.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.